Katalog podatności CVE

W systemie Simple Scheduling System 1.0 od code-projects wykryto podatność na atak typu Cross Site Scripting (XSS) w polu Subject Description. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony.

W systemie code-projects Client Details System 1.0 wykryto podatność na atak XSS. Podczas dodawania informacji o kliencie, złośliwy kod JavaScript może zostać wprowadzony w polu nazwy użytkownika.

W WukongCRM-9.0-JAVA wykryto podatność na deserializację fastjson w interfejsie /OaExamine/setOaExamine. Atakujący może zdalnie wykorzystać tę lukę do wykonania dowolnego kodu.

Podatność typu Directory Traversal w serwerze czasu sieciowego EndRun Technologies Sonoma D12 (GPS) z oprogramowaniem F/W 6010-0076-000 Ver 4.00 umożliwia atakującym dostęp do poufnych informacji.

W urządzeniu EndRun Technologies Sonoma D12 Network Time Server (GPS) z oprogramowaniem F/W 6010-0071-000 Ver 4.00 wykryto podatność na Cross Site Scripting (XSS). Umożliwia ona atakującym kradzież wrażliwych informacji oraz potencjalnie inne nieokreślone skutki.

Podatność CVE-2025-0609 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Logo Cloud od Logo Software Inc., co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji przed 1.18.

Podatność typu 'Open Redirect' w Logo Cloud firmy Logo Software Inc. umożliwia przekierowanie użytkowników na nieznane, potencjalnie złośliwe strony. Problem ten dotyczy wersji Logo Cloud przed 2025.R6.

W podatności CVE-2025-0607 występuje niewłaściwe kodowanie lub ucieczka danych wyjściowych w oprogramowaniu Logo Cloud firmy Logo Software Inc., co umożliwia ataki phishingowe. Problem dotyczy wersji Logo Cloud przed 2.57.

Podatność CVE-2025-0606 w oprogramowaniu Logo Cloud firmy Logo Software Inc. umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co prowadzi do wymuszonego przeglądania oraz ujawnienia zasobów. Problem dotyczy wersji Logo Cloud przed 0.67.

W jądrze Linuxa rozwiązano podatność dotyczącą niewłaściwego odmapowywania i usuwania csa_va w sterowniku amdgpu. Problem polegał na tym, że Root PD BO powinien być zarezerwowany przed odmapowaniem i usunięciem bo_va z VM, w przeciwnym razie występowały ostrzeżenia w lockdep.

W jądrze systemu Linux zidentyfikowano podatność, która prowadziła do awarii podczas operacji hotplug CPU. Problem występował w module qla2xxx, gdy czas oczekiwania na przerwanie I/O wygasał, co skutkowało nieprawidłowym wywołaniem zakończenia operacji.

W jądrze systemu Linux zidentyfikowano podatność, która została rozwiązana. Problem dotyczy wywołania funkcji ib_query_pkey() w kontekście atomowym, co prowadzi do błędu, ponieważ tracepointy nie mogą zasypiać.

W jądrze Linuxa wykryto podatność polegającą na zakleszczeniu (hung task) podczas testów LTP z kontrolerami cgroup. Problem występuje przy wielokrotnym montowaniu/odmontowywaniu kontrolerów perf_event i net_prio, gdy kolejkowanie zadań w jednej kolejce roboczej cgroup_destroy_wq prowadzi do blokady. Rozwiązaniem jest podział kolejki na trzy dedykowane: cgroup_offline_wq, cgroup_release_wq i cgroup_free_wq.

W jądrze Linux w sterowniku CCP (crypto: ccp) występuje podatność na dereferencję wskaźnika NULL podczas wywołania __sev_platform_shutdown_locked() z argumentem NULL. Problem pojawia się na ścieżce zamykania podczas zawieszania systemu do dysku (suspend to disk), co prowadzi do błędu Oops i potencjalnego zawieszenia systemu.

W jądrze Linuxa w podsystemie kryptograficznym (af_alg) wykryto podatność polegającą na tym, że w przypadku błędu w funkcji af_alg_sendmsg zmienna ctx->merge może zawierać śmieciową wartość z poprzedniej iteracji pętli. Może to prowadzić do awarii systemu przy kolejnym wywołaniu funkcji, gdy próbuje wykonać scalenie, które nie jest możliwe.

W jądrze Linuxa naprawiono podatność związaną z wyciekiem pamięci w funkcji smbd_negotiate() w przypadku błędów podczas odbierania danych przez klienta SMB.

OpenSupports udostępnia punkt końcowy, który pozwala na edytowanie listy 'nadzorowanych użytkowników' dla dowolnego konta, nie weryfikując, czy aktor jest właścicielem tej listy. Pracownik na poziomie 1 może zmodyfikować relację nadzoru innej osoby, co pozwala jej na przeglądanie zgłoszeń dodanych 'nadzorowanych' użytkowników.

W nopCommerce 4.40.3 odkryto podatność na atak XSS w polu nazwy produktu na stronie /Admin/Product/Edit/[id]. Za każdym razem, gdy użytkownik przegląda produkt w sklepie, ładunek XSS jest wykonywany.

Podatność związana z użyciem twardo zakodowanych poświadczeń w oprogramowaniu TigerWings ERP firmy Logo Software Inc. umożliwia odczyt wrażliwych stałych w obrębie pliku wykonywalnego. Problem dotyczy wersji TigerWings ERP od 01.01.00 do przed 3.03.00.

Podatność CVE-2025-0876 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie IT's Workif, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji systemu do 20251003.